Kongsi Satu Sambungan VPN dengan Semua Peranti pada LAN Anda

Satu komputer riba memegang terowong, seluruh rumah mahukan akses yang sama, dan percubaan pertama ialah mengarahkan semuanya ke mesin yang bersambung. Ia gagal atas sebab yang tiada kaitan dengan VPN: hos penerima mesti menghantar paket itu ke hadapan, menulis semula sumbernya dan memastikan balasan dapat menemui jalan pulang. Tertinggal mana-mana satu daripada tiga perkara itu, komputer riba yang bersambung terus berfungsi manakala setiap peranti lain tamat masa. Penyelesaiannya ialah reka bentuk penghalaan, bukan tetapan klien.

Mengapa mengarahkan peranti ke hos gagal

Hos yang menerima paket yang dialamatkan kepada rangkaian jauh menjadi penghala pada saat itu, sama ada seseorang mengkonfigurasikannya begitu atau tidak. Penghantaran dimatikan secara lalai pada Linux dan pada Windows melainkan sesuatu ciri menghidupkannya. Terjemahan alamat penting kerana pihak jauh mesti tahu ke mana hendak menghantar balasan, dan alamat LAN peribadi tidak bermakna baginya. Laluan pulang ialah bahagian ketiga, dan itulah yang orang lupa apabila ping pertama kelihatan berjaya.

Diagnosis mengikut urutan itu dan bukannya menghidupkan dan mematikan tetapan secara rawak. Setiap bahagian yang hilang menghasilkan gejala yang sedikit berbeza.

Hidupkan penghantaran dan terjemahan alamat pada hos

Dua perubahan pada hos yang bersambung meliputi dua bahagian pertama: hidupkan penghantaran IPv4 dan terjemahkan trafik LAN ke antara muka terowong.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Kekalkan nilai sysctl dalam fail di bawah /etc/sysctl.d, dan semak semula peraturan masquerade selepas but semula, kerana bahagian hadapan tembok api boleh mengosongkan rantaian tersuai. Pada Windows, ciri perkongsian melakukan kedua-dua langkah, tetapi ia juga mengalamatkan semula penyesuai LAN ke subnet tetap dan mengosongkan get laluannya, yang memecahkan pengalamatan statik dan pemajuan port. Pulihkan laluan penghala ke hos pada alamat baharunya sebelum membuat kesimpulan bahawa perkongsian gagal. Kemudian perhatikan pembilang peraturan meningkat semasa peranti kedua menghantar trafik.

Berikan LAN laluan yang bertahan selepas but semula

Peranti lain memerlukan laluan ke awalan jauh, dan dua cara menyediakannya berbeza dari segi skop kesan.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Mengarahkan get laluan lalai klien ke hos menghantar semua trafiknya melalui hos, termasuk percetakan tempatan dan perkongsian fail, jadi perkara yang tidak berkaitan berhenti apabila hos tidur. Menambah laluan khusus pada penghala untuk awalan jauh adalah lebih sempit: hanya destinasi di belakang terowong pergi ke mesin yang bersambung, dan seluruh LAN terus berfungsi. Subnet di atas hanyalah contoh, jadi gantikannya dengan julat LAN dan terowong anda sendiri. Walau apa pun, uji daripada peranti kedua dengan terowong dihidupkan dan kemudian dimatikan.

Perhatikan MTU sebelum menyalahkan terowong

Terowong mengecilkan saiz paket yang boleh digunakan, dan peranti kedua tidak tahu apa-apa. Pemindahan besar dan jabat tangan TLS tersekat manakala permintaan kecil berjaya.

ping -M do -s 1400 10.8.0.5

Balasan membuktikan bahawa saiz itu melintasi laluan tanpa serpihan; tamat masa bermakna beban pengkapsulan menolak paket melepasi MTU terowong. Turunkan MTU pada antara muka perkongsian atau hadkan saiz segmen maksimum pada penghantar ke hadapan, kemudian ulangi siasatan yang sama. Uji saiz yang sama di sebelah LAN dahulu, kerana kegagalan setempat menunjukkan LAN dan bukannya terowong. Catat saiz yang berfungsi, kerana perubahan penyedia atau terowong kemudian boleh mengalihkannya.

Untuk satu peranti tambahan, perkongsian daripada hos sudah memadai. Untuk sesebuah isi rumah, letakkan laluan itu pada penghala. Apabila akses mesti kekal walaupun komputer riba dibawa bersama anda, terowong itu sendiri patut berada pada get laluan khusus.